Comment se conformer à l'article II.1 du CSSF 22/806 ?

Question

Je dois mettre mon organisation luxembourgeoise en conformité à l'article II.1 du CSSF 22/806 (CSSF 22/806). Quelles sont les exigences concretes a respecter, les sanctions encourues, et comment Luxgap peut-il m'accompagner ?

Accepted Answer

Le piège classiqueLa circulaire CSSF 22/806 distingue l'externalisation TIC classique de l'externalisation reposant sur le cloud, mais le piège le plus frequent est de croire que ce chapitre ne concerne que les gros contrats de sous-traitance informatique. En pratique, la CSSF sanctionne les établissements qui n'ont jamais recense leur externalisation TIC hors cloud (heberment on-premise gère par un tiers, maintenance applicative, support de niveau 3, editeur logiciel avec accès distant), donc sans analyse de criticite, sans clauses contractuelles conformes aux points 59 et 60, et sans registre à jour. Les Orientations EBA/GL/2019/02 imposent ce registre depuis 2019, et DORA (règlement UE 2022/2554) l'a durci depuis le 17 janvier 2025 via le registre d'information des prestataires TIC, aligne par la circulaire CSSF 25/883.Ce qui bloque en contrôle CSSFConfondre externalisation TIC et simple achat de licence : des qu'un tiers opère, maintient ou accede a vos systèmes, c'est de l'externalisation soumise au chapitre 1.Ne pas évaluer la criticite ou l'importance de la fonction externalisée avant la signature, comme l'exigent les points 59 et 60.Des clauses contractuelles incompletes : absence de droit d'audit, de droit d'accès de la CSSF, de clause de sous-externalisation en cascade, de stratégie de sortie documentée.Un registre d'externalisation statique, tenu sur Excel, jamais reconcilie avec les contrats reels et les flux de paiement.Oublier les PSF de support (articles 29-3, 29-5, 29-6 de la LSF) qui sont eux-memes prestataires TIC du secteur financier.Absence de stratégie de sortie testée : la CSSF vérifie que vous pouvez reinternaliser ou changer de prestataire sans rupture opérationnelle.Comment Luxgap automatise ce risqueNotre Luxgap ICT Outsourcing Sentinel rend impossible l'externalisation TIC fantome en detectant automatiquement chaque prestataire qui opère ou accede a vos systèmes, même ceux absents de votre registre officiel. L'outil croise vos ecritures Sage BOB 50, vos contrats Odoo, les accès privilégiés de votre Active Directory et les journaux Microsoft Defender pour reconstituer la cartographie reelle de votre externalisation TIC hors cloud, sans qu'aucun responsable ne remplisse un formulaire.Détecte chaque prestataire TIC actif des qu'un accès distant, un paiement récurrent ou un contrat de maintenance apparait dans vos systèmes connectes.Classifie chaque fonction externalisée selon la grille de criticite des points 59 et 60 de la circulaire et signale les fonctions critiques ou importantes au sens de DORA.Vérifie la presence des clauses obligatoires (droit d'audit, accès CSSF, sous-externalisation, stratégie de sortie) et alerte sur les contrats non conformes aux Orientations EBA/GL/2019/02.Génère et maintient le registre d'information DORA aligne sur la circulaire CSSF 25/883, pret a transmettre a la CSSF.Alerte en temps reel via Teams des qu'un nouveau prestataire TIC obtient un accès privilégié non declare.Produit un rappo...

Chapitre 1 - Dispositifs d’externalisation en matière de TIC

Ils nous font confiance

Avant de discuter